企業內部控制信息化優化建議

李惠青

[提要] 在信息技術迅猛發展的今天，企業越來越多的業務依靠信息系統支撐完成，信息技術在建立與保持有效的內部控制方面發揮著重要的作用。但是，內部控制信息化建設與實施過程中也遇到一些新的問題和挑戰。本文結合中國石油企業內部控制工作實踐，對遇到的問題進行分析探討，并提出應對策略和實施方法。

關鍵詞：內部控制；信息化；問題；對策

中圖分類號：F27 文獻標識碼：A

收錄日期：2016年3月9日

一、內部控制信息化的重要性和必要性

內部控制信息化是企業內部控制工作的一項重要內容，為提高內部控制有效性、提高信息傳播與溝通的速度和質量提供了技術支持。瞬息萬變的競爭環境對企業管理提出了更高的要求，作為企業管理重要組成部分的內部控制，信息化建設勢在必行。企業內部控制信息化是將信息化與內部控制有效結合，通過信息技術支持，優化管理流程，提高內部控制工作效率，有效防范企業運營風險，促進內部控制高效發揮作用，更好地保障企業目標實現。內部控制信息化要求來源于以下三個方面：

（一）內部控制框架本身的構架特點。COSO（2013）內部控制整合框架（以下簡稱新框架）擴展了財務報告標準，既包含財務報告，也包含非財務報告。信息化是整合財務數據和非財務數據的重要工具，可以增強內部控制報告的全面性和有效性。信息與溝通是內部控制五要素之一，新框架對它的定義是“企業管理層從內、外部獲得或生成并且使用相關的有質量的信息來支持內部控制的正常運轉，并假設數據交流具有安全性和準確性”。新框架下信息的溝通應遵循三項基本原則：一是組織獲取、加工與使用高質量的信息，以支持內部控制發揮作用；二是組織在內部溝通信息（包括控制目標和職責范圍）以支持內部控制發揮作用；三是組織與外部相關各方就影響內部控制發揮作用的信息進行溝通。信息就像是內部控制的神經系統，支持內部控制運行并有效發揮作用，對推進企業內部控制水平，促進其目標實現至關重要。而信息系統是企業獲得并且使用信息的重要工具和載體。信息化和自動化帶動了組織形式與經營模式質的變革，并將信息技術對內部控制的影響融入其中。

（二）追求高效的企業管理理念。隨著信息技術大發展與企業工作效率的需求，我國大中型企業基本實現了辦公自動化和信息化，企業越來越多使用財務管理信息系統、ERP系統等信息技術，處理大量交易和人工無法完成的復雜數據信息，工作效率大大提高。內部控制也不例外，內部控制環境、內部控制流程、內部控制測試、內部控制評價工作都與信息技術息息相關。內部控制流程以前全部是用紙質表格、人工簽字審批，現在將部分內部控制流程嵌入信息系統進行流轉，審批人隨時可以進行辦公；內部控制測試的方法有詢問、觀察、檢查和再執行，以前就是測試人員到現場進行實地測試，翻看紙質資料，耗時、耗力、費用高，現在通過信息技術支持，測試人員可以遠程對于嵌入信息系統的內部控制流程進行測試。也因為信息系統的使用，特別是隨著“互聯網+”、云計算、大數據、物聯網等新的信息技術的涌現，使得內部控制不僅要對人進行控制，對于加強信息網絡安全的內部控制也提出了更高要求。提高企業內部控制信息化水平，并融入企業全面信息管理成為一項重要課題。

（三）政府監管和內部控制有效性評價要求。政府監管方面，財政部等五部委聯合頒布的《企業內部控制基本規范》指出，“企業應當運用信息技術加強內部控制，建立與經營管理相適應的信息系統，促進內部控制流程與信息系統的有機結合，實現對業務和事項的自動控制，減少或消除人為操縱因素。”《企業內部控制應用指引第18號——信息系統》進一步明確了促進企業有效實施內部控制，提高企業現代化管理水平，減少人為因素的主旨和各項具體內容。信息與溝通也是評價內部控制有效性的標準之一。財政部會同證監會、審計署、銀監會、保監會制定的《企業內部控制評價指引》指出，企業組織開展信息與溝通評價，應當以內部信息傳遞、財務報告、信息系統等相關應用指引為依據，結合本企業的內部控制制度，對信息收集、處理和傳遞的及時性、反舞弊機制的健全性、財務報告的真實性、信息系統的安全性，以及利用信息系統實施內部控制的有效性等進行認定和評價。

二、企業內部控制信息化現狀

（一）信息化工作現狀。總體而言，中國石油集團信息化建設走在了大型企業的前列。但由于建設的目的、時間等因素影響，目前在用的各個系統相對獨立。例如，由普聯公司開發的FMIS7.0在集團公司財務系統全面應用，實現了集團公司層面會計一級集中核算，是獨立的信息系統。人力資源系統（HR系統）在集團公司各單位成功應用，因上線日期早于ERP系統，目前未與ERP系統融合。另外，如合同管理系統、安全環保管理系統、物資管理系統等也是獨立的。這是造成各個信息系統數據不能相互共享的現狀。系統使用者對來源于其他信息系統的數據需要人工干預、整理后，手工再錄入自己使用的系統中。

（二）內部控制信息化工作情況

1、內部控制信息系統。在內部控制信息化建設過程中，集團公司建立符合發展戰略并與經營管理活動一體化的信息系統，為內部控制提供足夠的信息資源和順暢的溝通渠道，統一部署ERP系統作為主要支撐系統進行相關信息處理。

2、內部控制流程使用的信息系統。筆者所在單位是中國石油集團建設內部控制體系的第一批試點單位，體系建設于2007年啟動，2010年1月1日起正式實施。經過6年多的運行，目前發展到以風險管理為主要內容，涵蓋公司經營管理各領域，較為完善和有效運行的內部控制體系階段。2015年底，公司以法律、經營、財務風險為控制點的流程逐步完善，涵蓋財務管理、經營管理、物資管理、人力資源管理、合同管理、安全環保、技術質量、三重一大、工程項目管理等業務管理領域流程173個，關鍵控制點181個，60%以上的業務流程已通過信息系統進行流轉。由于ERP系統主要包含財務、物流、人力資源等核心模塊，但在滿足企業內部控制要求的日常業務審批及專業管理方面功能不足。因此，公司目前應用EMIS辦公自動化系統進行內部控制業務流程處理，以滿足日常工作需要。如合同管理業務，從合同相對方評價，各類合同審核會簽，合同簽訂，合同履行、變更與解除，合同結算，合同專用章管理到合同歸檔、統計分析，糾紛處理等流程都在EMIS辦公自動化系統流轉，過程中涉及到的表單資料掃描上傳系統，相關崗位在流程各步驟的處理意見均可追溯查詢。對于嵌入EMIS系統的這部分流程，內部控制測試可以實現遠程操作，一般不必到現場進行測試。EMIS辦公自動化系統尚未實現與ERP系統的對接。

3、內部控制測試使用的信息系統。中國石油內部控制測試系統使用的是ARCM3.X。在測試系統中，進行測試的內部控制流程通過操作員及主審、項目經理、測試管理員三級審核，完成從創建測試任務到出具測試結果的工作流程。系統管理員進行業務建模、自動創建測試任務，主審分配測試任務給測試員，被測試單位接受測試任務、測試員填寫測試任務、提交測試結果，主審審核測試任務（主審審核不通過的測試任務，測試員需要重新填寫測試狀態）、將測試審核結果提交項目經理審核（主審審核通過并且測試狀態是存在例外事項的測試任務，項目經理可以審核為“缺陷”和“非缺陷”），項目經理將審核結果提交測試管理員（主審審核通過的測試任務測試管理員可以審核為不通過，這樣主審可以重新審核測試任務。項目經理審核完的測試任務，測試管理員審核為不通過，那么主審需要重新審核，項目經理也需要重新審核），完成以上步驟后，由項目經理進行缺陷評估、測試結果統計分析，測試管理員輸出測試結果統計報表。以上測試任務填寫及審核均支持在線和離線狀態。通過內部控制測試管理模塊，實現內控審計測試結果錄入、審核、查詢與統計分析。

三、企業內部控制信息化存在的問題

信息技術不僅是工具，更是企業經營管理的環境，和其他環境因素相互影響和適應，共同決定著公司的組織結構、管理模式與流程。回顧內部控制體系建設與運行歷程，每一次進步都離不開信息技術的支持，也存在一些突出問題。

（一）企業對內部控制信息化重視程度不夠。自2008年《企業內部控制基本規范》發布以來，即我國企業內部控制實施近8年來，也是信息技術迅猛發展的歷史階段。但很多企業對內部控制信息化重視程度不夠，內部控制信息化程度不高，難以適應瞬息萬變的內外部環境。

（二）已有的信息系統與內部控制相脫節，信息孤島現象仍未消除。由于系統上線的時間不同，財務系統和業務系統、各業務系統之間都各自分離。企業目前在用的信息系統多樣，已有的信息系統與內部控制相脫節，影響了信息的及時獲取和傳遞，無法為內部控制建設提供有效支撐，使內部控制功能不能得到充分發揮。如財務管理信息系統、人力資源管理信息系統、辦公自動化管理信息系統、ERP管理信息系統都未實現融合，信息“孤島”現象仍然是一個大問題。使內部控制人員難以通過信息系統實時監控有關事件和內外部活動，無法對經濟、行業因素和控制問題進行迅速響應，面對經營活動中存在的潛在風險反應遲緩，難以預先診斷經營風險狀況。

（三）內部控制信息化程度有待提高。企業信息傳遞涉及方方面面，內部控制環境是內部控制有效性的土壤。目前，企業的內部控制環境需要借助信息技術更上一個臺階。部分重點業務流程未嵌入信息系統，使企業整體業務流程運行的流暢性受到影響。信息化覆蓋面不全，內部控制的主要工作未實現信息化，仍依賴手工完成。內部控制測試和外部評估工作主要方式是現場測試、跟單測試、關鍵控制測試、電子表格測試，主要依靠人工，測試過程資料（包含跟單測試表的測試步驟及發現，離線表單的測試對象描述等）和結果均需手工整理后，二次錄入ARCM3.X信息系統進行分析、查詢與統計分析。

（四）信息化對內部控制工作提出新要求。信息技術的發展對企業面臨的市場環境風險和企業內部控制工作產生更深影響，也給企業內部控制工作提出了新的要求。一是信息數據是企業的一項重要資產，內部控制需要滿足保護信息資產的需求；二是互聯網、云計算、大數據、信息系統融合，使得企業的網絡從局域網到廣域網，信息系統從單獨分離到綜合信息系統，一旦遭到人為或自然破壞，整個系統將陷入癱瘓，需要提高防范與信息系統有關風險的能力，加強信息系統安全內部控制工作；三是信息化使得內部控制人工干預減少，人的主觀能動性減弱，對信息系統的靈活性、智能型要求提高。

四、企業內部控制信息化優化建議

（一）管理層重視，加大信息化投入力度。由于企業經營發展過程中面臨的不確定性和風險日益增加，環境變化越趨復雜和快速。為建立實施符合現代社會發展的內部控制體系，首先企業高層必須重視信息化管理工作，加大信息化投入，從源頭抓起，統籌安排，將企業內部控制體系駛入安全穩定的信息系統高速公路，將信息源源不斷、安全高效地輸送到組織運行的各個角落，用制度約束系統，以系統規范行為。

（二）加快推進以ERP系統為核心的信息化建設。內部控制要求獲取的信息全面完整、質量高，不僅包括內外部財務報告信息，還包括非財務報告信息。完整和全面的數據對數據轉為內部控制信息至關重要。在信息化管理工作方面，加快各業務系統融合是獲取全面數據、管理提升的有效手段。加快推進以ERP系統為核心的信息化建設，建成統一的信息系統平臺是集團公司既定的工作部署。實現ERP與其他系統融合，通過信息化建設提高公司管理創新，是公司對信息系統建設的總體要求。通過整合集團公司在用信息系統，統一操作平臺，消除信息“孤島”，實現業務集成和數據共享。利用綜合信息平臺為內部控制有效運行提供支撐，實時取數、數據共享、動態分析、預警功能，實現企業管理事前預測、事中控制、事后分析。

（三）通過內部控制信息化優化內部控制體系

1、通過加大信息化覆蓋面，優化內部控制環境。集團公司利用綜合信息平臺和移動互聯網，及時向全體員工發布傳達企業各項信息，向客戶、供應商等外部利益相關方傳遞相關信息，消除信息不對稱帶來的負面影響。中國石油內網主頁包含公司信息、行業信息、辦公平臺。如企業文化欄目，發布公司年度報告、社會責任報告等；規章制度欄目，發布在用和失效的規章制度，實現制度管理信息化，方便員工及時查詢，有章可循，工作合規。集團公司建立了公眾微博、微信號，傳遞管理理念與企業文化，使員工可以隨時隨地訪問、接收相關信息。在以往通過匿名舉報、舉報熱線電話、郵箱等方式基礎上，內部控制信息化增加信訪和舉報監督渠道，預防舞弊行為發生。把內部控制融入公司文化，變成全員、全過程的員工自覺行動。

2、利用信息系統固化內部控制流程，提高工作效率。信息在企業各層級傳遞的速度和質量影響內部控制有效性。如果依賴人工建立實施內部控制，不僅消耗大量的人力物力，還會造成效率低下，最終導致內部控制流于形式。因此，需要利用綜合信息平臺，實現各部門、各層級之間的業務流轉、信息傳遞，提高信息傳遞速度和質量。內部控制主要通過流程進行控制活動，信息化本身的目的之一，就是促使企業將好的管理做法固化為信息化中的規則與流程。

公司目前主要工作：一是繼續將剩余40%的流程和新增業務流程固化到信息系統；二是著力解決流程審批時限問題。為保證流程執行的及時性，集團公司發布了業務限時辦結制度，各項流程審批時限，要求各環節簽批的業務兩天內完成。各部門也細化了業務辦結時限。對于無法登錄系統進行審批的，通過信息平臺的授權功能實現崗位授權審批。

內部控制辦公室（以下簡稱內控辦）以內部控制流程為切入點，對信息傳遞過程的速度與質量進行分析，優化內部控制流程。通過梳理業務流程，不斷完善內部控制體系職能分配及管理業務職責劃分，進一步規范崗位職責，明確崗位授權，消除管理業務重疊、橫向縱向職能不清晰、沒有制度支撐、管理職能不落實等問題。每年梳理發布“各單位、各部門內控手冊流程圖及需要上報的報表資料清單”，使得各部門職責明確，流程清晰，減少公司管理的盲點。內部控制流程與信息系統的有機結合，實現了對業務和事項的自動控制，極大提高了信息傳遞速度和工作效率，減少控制成本、提高控制效率、減少或消除人為操縱因素，并為內部控制測試工作信息化奠定了基礎。

3、內部控制測試工作信息化。內部控制測試是對內部控制體系設計有效性和執行有效性進行檢查，分現場測試和非現場測試兩種方式。公司現行的《內部控制體系管理辦法》規定，“原則要求測試覆蓋率不低于50%，重要流程覆蓋率不低于70%，關鍵控制覆蓋率要達到90%”。通過信息系統流轉的業務流程，實施證據表單都已掃描上傳系統，對于這類流程的測試，內控辦主要通過信息系統隨時隨地進行非現場測試，有效化解了人手不足的問題，又滿足了測試覆蓋率，對提高內部控制有效性起到了積極的推動作用。

（四）注重信息安全控制。信息系統自身也存在風險，需要加強執行過程管理和內部控制測試。集團公司內部控制測試內容包括公司層面控制測試、業務活動層面控制測試（含跟單測試和關鍵控制測試）和信息系統層面控制測試三部分。信息系統安全控制包含訪問控制、數據資源控制、系統軟硬件控制、網絡安全控制等方面。具體包括控制環境、信息安全、項目建設管理、系統變更管理、信息系統日常運作、最終用戶操作等。

信息系統控制測試含信息系統總體控制和信息系統應用控制。信息系統總體控制GCC指的是內部控制中對信息系統相關部分的控制，保證由信息系統支持的流程控制是可靠的、生成的數據和報告是可信的。集團公司根據COSO要素、COBIT等國內外通用的信息系統審計標準，制定并發布信息系統總體控制規范，包含實施規范和測試規范。實施規范要求將信息系統控制的執行最終落實在各崗位人員具體操作上，并在執行過程中保留完整的證據鏈，保證信息系統總體控制執行的規范化。測試規范要求有配套的測試監督方法和定期檢查機制，保證信息系統控制執行的有效性，形成一個執行——檢查——整改的良性循環。集團公司范圍內信息系統的日常管理和信息運營維護工作參照此標準進行。信息系統應用控制方面，關注企業業務管理流程及專業管理流程中影響財務數據的交易處理環節或系統處理環節的控制，已有的控制設計涉及ERP、FMIS等管理系統。對于新上線的信息系統及原信息系統的功能變更均會導致應用控制變化，且各個系統所處理的業務流程以及實現方式的不同，應用控制再根據不同的系統逐個識別。

五、啟示

（一）加強內部控制信息化頂層設計，注重內部控制信息化工作的持續性和推動力。幾乎所有的集團和單位都不同程度存在信息系統重復建設的問題，造成資源和成本浪費。對于新建公司和準備實施此項工作的企業，應加以借鑒。企業應該制定與戰略決策相適應的信息技術長期規劃，統籌安排，分步實施。既滿足公司發展的需要，又降低成本。通過綜合信息平臺實現業務集成和數據共享，提升內部控制有效性。同時，內部控制信息化工作是一項長期工作，需要注重內部控制信息化工作的持續性和推動力，為企業持續健康穩健發展提供保障。

（二）信息化不是萬能的，制度是根本，職業判斷不能忽視。沒有信息化是萬萬不能的，但信息化也不是萬能的。對于內部控制工作而言，企業的制度是根本，首先應建立完善適合企業經營情況的制度。內部控制是以人為主體，實施內控的是人，監督檢查的主體是人。業務流程運行與實際出現差異時，應及時分析解決和持續優化，必要時按規定做出合理變更；遇有緊急、臨時、突發等特殊情況，業務流程中未明確具體程序時，應由業務主管領導酌情相機處置，并做好記錄，而不是一味僵化執行。

（三）復合型人才培養。與其他系統控制測試相比，信息系統控制測試人員需具有信息管理技術、業務流程基礎、財務核算基礎三方面的綜合技術能力。因此，需要有計劃、分步驟加強復合型測試人員培養。同時，測試人員本身也應持續學習新知識，跟上日新月異的信息化發展速度，滿足內部控制信息化工作需求。

主要參考文獻：

[1]黃宇.“云時代”下創新財務檢查工作的思考與探索.廣西財務與會計，2015.1.

[2]王瑋琪.融合石油企業現有信息系統之我見[J].中國石油財會，2014.3.

[3]魯冰.COSO內部控制整合框架修訂進展及啟示[J].財務與會計，2013.7.